[기고] AI 시대의 현명한 개인정보 활용 방법
챗GPT 등장 이후 인공지능(AI)과 신기술, 혁신적인 서비스의 개발을 해하지 않으면서도 이용자의 권리와 개인정보를 보호하려면 어떤 것을 고려해야 할 지에 대한 논의가 최근 활발해진 분위기다. 급변하는 정보사회에서 AI와 개인정보 보호에 있어 우리 사회가 취해야 할 균형 잡힌 자세가 어떤 것인지에 대해 법무법인 태평양 AI팀에서 [AI 컨택]을 통해 2주 마다 다뤄보고자 한다. 산업혁명 시대에는 석탄과 석유가 경제 성장을 주도하는 핵심 자원이었지만 오늘날에는 데이터가 그 자리를 차지하고 있다고 해도 과언이 아니다. 데이터는 이제 새로운 시대의 석유로 불릴 만큼 기업과 국가의 경쟁력을 좌우하는 핵심 자산이 됐다. 특히 인공지능(AI) 기술이 발전하면서 AI가 학습하고 진화하는 데 필수적인 요소인 데이터의 중요성이 더욱 대두되고 있다. 많은 유형의 AI가 존재하지만 그 중 다수가 사람과의 상호작용을 전제로 한다. 이에 데이터 중에서도 개인정보를 활용한 AI 학습 및 고도화 필요성이 커지고 있다. 그렇지만 정보주체의 권리와 관련 규제에 대한 고려가 필요하다는 점에서 개인정보는 다른 데이터에 비해 활용에 주의가 필요한 것도 사실이다. 지난 2021년에 있었던 '이루다' 챗봇 사건은 AI 기술의 가능성과 개인정보 사용의 잠재적 위험성을 동시에 보여준 대표적인 사례다. '이루다'는 자연어 처리를 기반으로 한 20대 여성 캐릭터의 AI 챗봇으로, 페이스북 메신저에서 이용자들과 대화하며 큰 인기를 끌었다. '이루다'의 가장 큰 매력은 자연스러운 대화 능력이었는데 이러한 대화 능력의 원천은 챗봇의 개발사가 운영 중인 서비스를 통해 수집한 이용자와 타인 간의 카카오톡 대화 문장이었다. 실제 대화를 기반으로 개발된 만큼 '이루다'는 뛰어난 대화 능력을 가질 수 있었는데 이용자의 개인정보 이용에 대한 동의나 가명처리 등에 대한 논란이 됐다. 이처럼 AI의 눈부신 발전 뒤에는 개인의 개인정보 자기결정권과 사생활 보호권에 대한 침해 가능성이라는 이면이 존재한다. 이제는 이 양자 간 균형을 어떻게 유지할 것인지에 대한 고민이 필요한 시점이다. 글로벌 AI 패권 경쟁이 본격화되는 상황에서 AI 발전을 저해하지 않으면서도 개인의 권리를 보호할 수 있는 선이 어디인지를 정하는 것은 매우 어려운 문제다. 그렇지만 규제의 불확실성이 오히려 AI 사업을 움츠러들게 할 수 있다는 점에서 이는 꼭 해결해야 할 과제이기도 하다. 적절한 규제의 수위를 정하기 위해서는 먼저 AI 사업자들이 AI 개발에 필요한 개인정보를 어디서 가져오는지를 따져봐야 한다. AI 사업자들이 활용할 수 있는 개인정보는 크게 온라인에 공개돼 있는 개인정보와 사업자가 기존 서비스 제공 과정에서 이미 수집해놓은 개인정보일 것이다. 이와 관련해 개인정보보호위원회(개보위)는 지난 해부터 AI 개발∙서비스에 활용되는 개인정보의 처리기준에 관한 정책방향 등을 꾸준히 내놓으며 규제의 방향을 구체화하고 있다. 지난 7월에는 공개된 개인정보 처리에 대한 안내서를 발간했다. 개보위가 지난 7월 발간한 '인공지능(AI) 개발∙서비스를 위한 공개된 개인정보 처리 안내서'의 주요 내용은 다음과 같다. 우선 안내서는 AI 사업자가 인터넷에 공개돼 있는 데이터를 웹 스크래핑 등의 방식으로 수집해 AI 학습에 활용한다면 해당 데이터에 개인정보가 포함돼 있어도 이를 정보주체의 개별 동의나 계약 체결∙이행 등의 조항에 근거해 활용하는 것은 사실상 어렵다는 점을 인정했다. 그러면서 정당한 이익(개인정보 보호법 제15조 제1항 제6호)을 근거로 공개된 개인정보를 AI 개발 목적으로 처리할 수 있다고 봤다. 이러한 정당한 이익에 근거하기 위해서는 AI 개발 목적의 정당성, 공개된 개인정보 처리의 필요성, 구체적 이익형량이라는 세 가지 요건을 충족해야 한다. 이 요건들을 충족하는지 여부는 AI 개발의 구체적 맥락을 고려해 사안별로 판단해야 하므로 여전히 모호한 측면이 있기는 하다. 그럼에도 AI와 관련 기술의 발전 속도를 고려할 때 모든 경우를 상정해 구체적인 규제 조항을 만드는 것은 불가능하고 실익도 적다. 이에 이러한 원칙 중심의 규제는 합당한 면이 있다. 그 기준을 가능한 한 구체적으로 제시한 개보위 안내서는 매우 유의미한 성과라고 할 수 있다. 공개된 개인정보의 활용과 달리 AI 사업자가 기존에 서비스를 제공하는 과정에서 수집해 놓은 개인정보를 AI 목적으로 활용하는 부분에 대해 개보위는 아직 명확한 입장을 밝힌 적이 없다. 다만 개인정보보호위원회가 공개된 개인정보 처리 안내서에서 밝힌 내용 등으로 미뤄 보아 이 경우에도 정당한 이익 조항을 실질적인 적법 근거로 활용할 수 있을 것으로 생각된다. 정당한 이익 조항에 근거하기 위한 요건인 AI 개발 목적의 정당성, 개인정보 처리의 필요성, 이익형량은 모두 사업자가 이미 보유하고 있는 실제 이용자의 개인정보를 활용할 때도 동일하게 적용 가능한 기준들이기 때문이다. 다만 AI 사업자가 기존 서비스 이용자로부터 수집한 개인정보의 경우 당초 수집 목적이 존재할 것이다. 이에 따라 정당한 이익 조항 외에도 추가적인 이용 조항(개인정보 보호법 제15조 제3항)의 활용을 고려해 볼 수 있다. 추가적인 이용 조항에 따르면 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 안전성 확보에 필요한 조치를 했는지 여부 등을 고려해 정보주체 동의 없이 개인정보를 이용할 수 있다. 개보위도 지난 해 8월 발간된 '인공지능 시대 안전한 개인정보 활용 정책방향'에서 특정 서비스 제공 목적으로 수집한 개인정보를 해당 서비스의 개선(고도화) 목적으로 AI 개발에 이용한다면 추가적 이용이 가능하다고 제시한 바 있다. 또 이 외에도 가명정보는 과학적 연구를 위해 정보주체 동의 없이 처리할 수 있다. 이에 따라 AI 사업자는 기존에 수집해둔 이용자의 개인정보를 가명처리해 AI 학습 개발에 활용하는 방안도 고려할 수 있다(개인정보 보호법 제28조의2 제1항). 다만 최대한의 가명 처리 노력을 하더라도 실제 이용자들의 대화 내용 속 모든 이름, 주소, 숫자 등이 완전하게 제외되지 않을 수 있어 그 완전성을 담보하기 어렵다. 또 처리하는 데이터 양이 방대해질수록 담당자가 이를 일일이 확인하기도 어렵다. 이러한 점 등을 고려할 때 가명정보 처리 조항을 적법처리의 근거로 활용하기에는 한계가 있다. 이에 따라 사업자가 이미 수집한 개인정보의 AI 목적 활용에 대해서는 정당한 이익과 추가적인 이용을 주된 법적 근거로 보되 가명처리 여부는 위 법적 근거 충족 여부를 판단하는 요소인 안전성 확보조치에 관한 것으로 보는 것이 보다 실질적인 규제 방식이라 할 것이다. 전통적으로 우리나라는 정보주체의 동의에 근거해 개인정보를 수집∙이용해 왔다. 그렇지만 개보위는 동의에만 의존하는 것이 아니라 현실에 맞는 법적 근거를 활용하도록 하는 방향으로 규제 체계를 변경하고 있다. 이러한 변화의 모습이 AI 시대에 적절한 것인지는 다소간의 의문이 있지만 동시에 국가 간 AI 개발 경쟁 역시 심화되고 있는 추세다. 이에 따라 개인정보 활용을 억제만 하기 보다는 정보주체에 대한 불이익을 최소화하면서도 다양한 법적 근거를 적절하게 활용할 수 있는 방안을 찾는 것이 중요한 과제다. 개인정보보호위원회가 지금까지 해온 것처럼 새로운 쟁점들에 대해서도 실질적이고 유용한 규제 기준을 마련해 제안할 수 있기를 기대해 본다.
